> UK GDPR et PECR : consentement aux cookies, nouvelles exemptions de 2026 pour les statistiques, amendes jusqu'à 17,5 M£ et contrôles de l'ICO. Le guide. > > Canonical: https://www.flowconsent.com/fr/laws/uk-gdpr-pecr Loi sur les cookies # UK GDPR et PECR : les règles cookies au Royaume-Uni UK GDPR et PECR : consentement aux cookies, nouvelles exemptions de 2026 pour les statistiques, amendes jusqu'à 17,5 M£ et contrôles de l'ICO. Le guide. Mis à jour le 9 octobre 2026 · 9 min de lecture [Scanner mon site gratuitement](https://www.flowconsent.com/fr/scan) · [Essayer FlowConsent gratuitement](https://app.flowconsent.com/auth/sign-up?utm_source=flowconsent.com\&utm_medium=referral\&utm_campaign=laws) ## Fiche - Nom complet Privacy and Electronic Communications Regulations 2003 et UK GDPR, modifiés par le Data (Use and Access) Act 2025 - Juridiction Royaume-Uni - En vigueur depuis PECR de 2003, règles cookies révisées le 5 février 2026 - Autorité ICO (Information Commissioner's Office) - Amende maximale 17,5 M£ ou 4 % du chiffre d'affaires annuel mondial - Modèle de consentement Mixte ## L'essentiel - Au Royaume-Uni, la règle cookies figure à la regulation 6 des PECR, et le consentement se définit selon le UK GDPR. - Depuis le 5 février 2026, le Data (Use and Access) Act 2025 ajoute des exemptions, dont une pour les statistiques avec droit d'opposition. - Les cookies publicitaires restent soumis au consentement préalable, avec un refus aussi simple que l'acceptation. - Les manquements à la regulation 6 peuvent désormais coûter jusqu'à 17,5 millions de livres ou 4 % du chiffre d'affaires mondial. - L'ICO a testé les 1 000 sites britanniques les plus visités et émis 17 avis préliminaires d'exécution. Sommaire > **En bref :** au Royaume-Uni, les PECR interdisent de stocker ou de lire une information sur le terminal d'un utilisateur sans son consentement, sauf exceptions élargies en 2026 par le Data (Use and Access) Act. Toute organisation dont le site vise des utilisateurs britanniques est concernée, y compris depuis la France. Depuis la réforme, un manquement à la règle cookies peut être sanctionné jusqu'à 17,5 millions de livres ou 4 % du chiffre d'affaires mondial. ## UK GDPR et PECR : de quoi parle-t-on ? Le Royaume-Uni a gardé après le Brexit un cadre très proche du droit européen, mais il le fait désormais évoluer seul. Deux textes encadrent les cookies : - les **Privacy and Electronic Communications Regulations 2003** (PECR), qui transposaient à l'origine la directive ePrivacy. Leur **regulation 6** contient la règle cookies ; - le **UK GDPR**, version britannique du RGPD, qui définit ce qu'est un consentement valable et encadre le traitement des données personnelles collectées via les cookies, aux côtés du Data Protection Act 2018. Le **Data (Use and Access) Act 2025** (DUAA) modifie ces trois textes sans les remplacer. Pour les cookies, son effet principal date du **5 février 2026** : la regulation 6 a été réécrite et complétée par une nouvelle **Schedule A1** qui liste les exceptions. Selon l'ICO, le DUAA permet de déposer certains types de cookies sans consentement, comme ceux qui servent à collecter des informations à des fins statistiques ou à améliorer les fonctionnalités du site. La règle de base reste inchangée : une personne **ne doit pas stocker d'information, ni accéder à une information stockée**, dans le terminal d'un abonné ou d'un utilisateur, sauf exception. La nouvelle rédaction précise qu'elle couvre aussi le fait de provoquer ce stockage ou cet accès, ainsi que la collecte d'informations émises automatiquement par le terminal. L'ICO a publié la version finale de son **guide sur les technologies de stockage et d'accès** le **29 avril 2026**, après deux consultations. Il couvre les cookies, mais aussi les pixels de suivi, la décoration de liens, le fingerprinting, le stockage web et les scripts ou tags. ## Qui est concerné ? - **Tout site ou application accessible au Royaume-Uni** qui dépose ou lit des informations sur l'appareil de l'utilisateur, y compris via des services tiers ; - **les entreprises établies hors du Royaume-Uni** dont les services visent des utilisateurs britanniques : le guide de l'ICO consacre une section à cette question ; - **les autorités publiques**, également traitées par le guide ; - **les services susceptibles d'être utilisés par des enfants**, pour lesquels l'ICO attend une vigilance particulière. Pour une entreprise française qui vend au Royaume-Uni, la conséquence est simple : votre bandeau RGPD est une bonne base, mais il doit tenir compte de règles britanniques qui divergent désormais sur les exemptions et sur les sanctions. ## Ce que le UK GDPR et les PECR imposent pour les cookies et le consentement ### Le consentement par défaut Hors exceptions, le stockage ou l'accès exige le **consentement** de l'utilisateur, au sens du UK GDPR : une manifestation de volonté libre, spécifique, éclairée et univoque, donnée par un acte positif clair. Les cookies publicitaires, les pixels de réseaux sociaux et le suivi entre sites relèvent de ce régime. ### Les cinq exceptions Le guide de l'ICO présente cinq exceptions à l'interdiction : 1. **la communication** : stockage ou accès dont la seule finalité est la transmission d'une communication ; 2. **le strictement nécessaire** : ce qui est indispensable pour fournir le service demandé ; 3. **les finalités statistiques** ; 4. **l'apparence** : adapter l'apparence ou le fonctionnement du site aux préférences de l'utilisateur, ou l'améliorer, avec là aussi une information claire et un moyen simple de s'opposer ; 5. **l'assistance d'urgence**. ### L'exemption statistique, en détail C'est la nouveauté la plus utile pour les éditeurs. Selon le paragraphe 5 de la Schedule A1, elle s'applique si **toutes** les conditions suivantes sont réunies : - la personne fournit un service de la société de l'information ; - la **seule finalité** est de collecter des informations statistiques sur l'utilisation du service ou du site, **en vue de l'améliorer** ; - les informations ne sont **partagées avec personne**, sauf pour permettre à un tiers d'aider à cette amélioration ; - l'utilisateur reçoit une **information claire et complète** sur cette finalité ; - il dispose d'un **moyen simple et gratuit de s'opposer**, et ne s'y oppose pas. Il s'agit donc d'un **opt-out** pour la mesure d'audience, d'où notre classement « mixte ». Attention à une limite précise du texte : pour cette exemption, l'accès aux informations stockées n'inclut pas la collecte ou la surveillance d'informations **émises automatiquement** par le terminal. Les techniques qui reposent sur ces signaux ne peuvent donc pas s'abriter derrière l'exemption statistique. Dernier point pratique : lorsque le même acteur réutilise le même traceur pour la même finalité à plusieurs reprises, il suffit que l'information et le moyen d'opposition aient été fournis lors de la première utilisation. Un outil d'analyse qui réutilise les données pour de la publicité ou les croise avec d'autres services ne remplit pas ces conditions et reste soumis au consentement. Le guide final de l'ICO détaille ce qu'est un « moyen simple de s'opposer ». ### Retrait et preuve Le UK GDPR impose, comme le RGPD, que le consentement puisse être retiré aussi facilement qu'il a été donné, et que l'organisation puisse démontrer qu'il a été recueilli. Conservez un journal horodaté des choix, y compris des oppositions à la mesure statistique. ## Le bandeau de cookies conforme au UK GDPR et aux PECR La campagne de l'ICO sur les sites britanniques les plus visités a porté sur trois critères, qui résument les attentes de l'autorité : - **aucun cookie publicitaire non essentiel** ne doit être déposé avant que l'utilisateur ait pu choisir ; - **refuser** les cookies publicitaires non essentiels doit être **aussi simple que les accepter** ; - **aucun cookie publicitaire** ne doit être déposé si l'utilisateur n'y a pas consenti. Un bandeau conforme affiche donc Accepter et Refuser au même niveau, un paramétrage par finalité, et, si vous utilisez l'exemption statistique, une information claire sur la mesure d'audience avec un moyen simple de s'y opposer. Les techniques visant à pousser l'acceptation (bouton Refuser masqué, couleurs trompeuses, refus en plusieurs étapes) sont celles que l'ICO a fait corriger. Notre article sur [les dark patterns](https://www.flowconsent.com/fr/blog/dark-patterns-cookies-cnil-interdit) les recense, et le [guide du bandeau cookies conforme](https://www.flowconsent.com/fr/blog/bandeau-cookies-conforme-rgpd-guide) détaille la structure à adopter. ## Sanctions et contrôles **L'autorité** : l'Information Commissioner's Office (ICO) contrôle les PECR et le UK GDPR. Dans le texte consolidé des PECR, les références à l'Information Commissioner sont remplacées depuis le 30 septembre 2026 par l'**Information Commission**, en application du DUAA ; c'est elle qui exerce désormais ces pouvoirs. **Le plafond** : depuis la réforme du 5 février 2026, les pouvoirs de sanction des PECR renvoient au Data Protection Act 2018. Les manquements à la regulation 6 relèvent du **montant maximal le plus élevé** : **17 500 000 £ ou 4 % du chiffre d'affaires annuel mondial** de l'exercice précédent, le montant le plus élevé étant retenu. Ce que montrent les contrôles récents : - **Campagne sur les 200 puis les 1 000 premiers sites** : dans son bilan du **4 décembre 2025**, l'ICO indique que **979 des 1 000** sites britanniques les plus visités respectaient ses critères lors du dernier test. **564** n'y sont parvenus qu'après son intervention, et seuls 415 étaient conformes sans action de sa part. - **17 avis préliminaires d'exécution** (preliminary enforcement notices) ont été émis contre les sites qui ne se mettaient pas en conformité après les courriers d'avertissement. L'action se poursuit contre les **21** sites encore non conformes. - L'ICO annonce qu'elle continuera à **tester périodiquement** les 1 000 premiers sites pour éviter tout retour en arrière. ## Checklist de conformité 1. **Inventoriez vos traceurs** : cookies, pixels, stockage web, scripts, fingerprinting. 2. **Classez-les selon les cinq exceptions** du guide de l'ICO. 3. **Vérifiez l'exemption statistique** condition par condition avant de l'appliquer. 4. **Bloquez les cookies publicitaires** jusqu'au consentement. 5. **Affichez Refuser au même niveau qu'Accepter.** 6. **Offrez une opposition simple** à la mesure statistique si vous utilisez l'exemption. 7. **Testez que le refus est respecté** : aucun cookie publicitaire après un clic sur Refuser. 8. **Conservez la preuve** des choix et des oppositions. 9. **Lisez le guide final de l'ICO** du 29 avril 2026 et réauditez après chaque ajout de tag. ## Comment FlowConsent vous aide à respecter le UK GDPR et les PECR FlowConsent **bloque les scripts publicitaires avant le consentement**, affiche un bandeau avec Accepter et Refuser au même niveau et vous permet de classer chaque service par finalité, y compris la mesure d'audience (voir la doc sur les [services et bases légales](https://www.flowconsent.com/fr/doc/services-and-legal-basis)). Le **scan automatique** repère les traceurs de vos pages, la **preuve de consentement** est exportable, et **Google Consent Mode v2** est intégré pour vos campagnes au Royaume-Uni comme en Europe. Testez votre site avec notre [scanner gratuit](https://www.flowconsent.com/fr/scan), puis [créez votre compte](https://app.flowconsent.com/auth/register) : gratuit jusqu'à 25 000 sessions par mois, installation en une dizaine de minutes. ## Pour aller plus loin Les règles britanniques restent très proches des règles européennes sur l'essentiel : bandeau équilibré, refus respecté, preuve conservée. Les articles suivants vous aident à concevoir ce bandeau, à mesurer votre audience avec moins de cookies et à auditer les traceurs de votre site. Pour aller plus loin ## Approfondir : UK GDPR / PECR. Des guides pratiques du blog pour appliquer ces règles sur votre site. [Blog](https://www.flowconsent.com/fr/blog/bandeau-cookies-conforme-rgpd-guide) ### [Bandeau cookies conforme : le guide pour ne rien oublier](https://www.flowconsent.com/fr/blog/bandeau-cookies-conforme-rgpd-guide) [Lire l'article ](https://www.flowconsent.com/fr/blog/bandeau-cookies-conforme-rgpd-guide)· [Blog](https://www.flowconsent.com/fr/blog/analytics-sans-cookies-guide-complet) ### [Analytics sans cookies : guide complet pour mesurer sans consentement](https://www.flowconsent.com/fr/blog/analytics-sans-cookies-guide-complet) [Lire l'article ](https://www.flowconsent.com/fr/blog/analytics-sans-cookies-guide-complet)· [Blog](https://www.flowconsent.com/fr/blog/categories-cookies-rgpd-guide) ### [Les 4 catégories de cookies RGPD : guide complet](https://www.flowconsent.com/fr/blog/categories-cookies-rgpd-guide) [Lire l'article ](https://www.flowconsent.com/fr/blog/categories-cookies-rgpd-guide)· [Blog](https://www.flowconsent.com/fr/blog/dark-patterns-cookies-cnil-interdit) ### [Dark patterns cookies : ce que la CNIL interdit dans les bannières](https://www.flowconsent.com/fr/blog/dark-patterns-cookies-cnil-interdit) [Lire l'article ](https://www.flowconsent.com/fr/blog/dark-patterns-cookies-cnil-interdit)· [Blog](https://www.flowconsent.com/fr/blog/google-consent-mode-v2-guide-implementation) ### [Google Consent Mode v2 : le guide complet pour le comprendre et l'implémenter](https://www.flowconsent.com/fr/blog/google-consent-mode-v2-guide-implementation) [Lire l'article ](https://www.flowconsent.com/fr/blog/google-consent-mode-v2-guide-implementation)· [Blog](https://www.flowconsent.com/fr/blog/audit-cookies-site-web-methode) ### [Audit de cookies : méthode complète pour scanner et inventorier les traceurs de votre site](https://www.flowconsent.com/fr/blog/audit-cookies-site-web-methode) [Lire l'article](https://www.flowconsent.com/fr/blog/audit-cookies-site-web-methode) Questions ## UK GDPR / PECR et cookies : vos questions Une question qui n'est pas dans la liste ? Écrivez-nous, on répond vite. [Nous écrire](https://www.flowconsent.com/fr/demo) ### Quelle différence entre le UK GDPR et les PECR ? Le UK GDPR est la version britannique du RGPD : il encadre le traitement des données personnelles et définit le consentement. Les PECR (Privacy and Electronic Communications Regulations 2003) contiennent la règle propre aux cookies, à la regulation 6 : interdiction de stocker ou de lire une information sur le terminal, sauf exceptions. Pour un bandeau cookies, les deux textes s'appliquent ensemble. ### Peut-on utiliser Google Analytics sans consentement au Royaume-Uni ? Pas automatiquement. L'exemption statistique ajoutée en 2026 suppose que la seule finalité soit des statistiques pour améliorer le site ou le service, que les données ne soient partagées qu'avec un prestataire qui aide à cette amélioration, que l'utilisateur soit informé et puisse s'y opposer simplement et gratuitement. Un outil qui réutilise les données pour la publicité ne remplit pas ces conditions. ### Un bouton « Tout refuser » est-il requis par l'ICO ? Lors de sa campagne sur les 1 000 sites les plus visités, l'ICO a vérifié si refuser les cookies publicitaires non essentiels était aussi simple que de les accepter. Elle note une présence accrue d'options « reject » dans les bandeaux après son intervention. En pratique, un bouton Refuser au premier niveau est le moyen le plus sûr de répondre à ce critère. ### Un site européen doit-il respecter les règles britanniques ? Oui, s'il vise des utilisateurs situés au Royaume-Uni. Le guide de l'ICO consacre une section à l'application des règles aux services établis hors du Royaume-Uni. Dans les faits, un bandeau conforme au RGPD satisfait l'essentiel des exigences britanniques, mais les exemptions diffèrent désormais : il faut adapter la configuration si vous voulez profiter de l'exemption statistique britannique. ### Quelles sont les nouvelles exemptions de 2026 ? Le guide final de l'ICO, publié le 29 avril 2026, liste cinq exceptions à l'interdiction : la transmission d'une communication, le strictement nécessaire, les finalités statistiques, l'apparence (adapter l'apparence ou le fonctionnement du site aux préférences de l'utilisateur) et l'assistance d'urgence. Hors de ces cas, le consentement préalable reste la règle. ## Sources officielles Les textes et lignes directrices sur lesquels s'appuie cette page. - [PECR 2003, regulation 6 (texte en vigueur, legislation.gov.uk) ](https://www.legislation.gov.uk/uksi/2003/2426/regulation/6)www\.legislation.gov.uk - [PECR 2003, Schedule A1 : exceptions, dont les finalités statistiques ](https://www.legislation.gov.uk/uksi/2003/2426/schedule/A1)www\.legislation.gov.uk - [PECR 2003, regulation 31 et Schedule 1 : pouvoirs d'exécution ](https://www.legislation.gov.uk/uksi/2003/2426/schedule/1)www\.legislation.gov.uk - [Data Protection Act 2018, section 157 : montants maximaux des amendes ](https://www.legislation.gov.uk/ukpga/2018/12/section/157)www\.legislation.gov.uk - [Data (Use and Access) Act 2025 (legislation.gov.uk) ](https://www.legislation.gov.uk/ukpga/2025/18/contents)www\.legislation.gov.uk - [ICO : guide sur les technologies de stockage et d'accès (version finale du 29 avril 2026) ](https://ico.org.uk/for-organisations/direct-marketing-and-privacy-and-electronic-communications/guidance-on-the-use-of-storage-and-access-technologies/)ico.org.uk - [ICO : ce que le Data (Use and Access) Act 2025 change pour les organisations ](https://ico.org.uk/about-the-ico/what-we-do/legislation-we-cover/data-use-and-access-act-2025/the-data-use-and-access-act-2025-what-does-it-mean-for-organisations/)ico.org.uk - [ICO : bilan de la campagne cookies sur les 1 000 premiers sites (4 décembre 2025) ](https://ico.org.uk/about-the-ico/media-centre/news-and-blogs/2025/12/ico-action-secures-increased-cookie-compliance/)ico.org.uk Autres lois ## Les autres lois sur les cookies et la vie privée. [RGPD · Opt-in](https://www.flowconsent.com/fr/laws/rgpd) ### [RGPD et cookies : ce que la loi impose à votre site](https://www.flowconsent.com/fr/laws/rgpd) [Lire le guide ](https://www.flowconsent.com/fr/laws/rgpd)· [Directive ePrivacy · Opt-in](https://www.flowconsent.com/fr/laws/directive-eprivacy) ### [Directive ePrivacy : la règle européenne des cookies expliquée](https://www.flowconsent.com/fr/laws/directive-eprivacy) [Lire le guide ](https://www.flowconsent.com/fr/laws/directive-eprivacy)· [CCPA / CPRA · Opt-out](https://www.flowconsent.com/fr/laws/ccpa-cpra) ### [CCPA et CPRA : les obligations cookies pour les sites qui visent la Californie](https://www.flowconsent.com/fr/laws/ccpa-cpra) [Lire le guide ](https://www.flowconsent.com/fr/laws/ccpa-cpra)· [TDDDG · Opt-in](https://www.flowconsent.com/fr/laws/tdddg) ### [TDDDG : la loi allemande sur les cookies expliquée](https://www.flowconsent.com/fr/laws/tdddg) [Lire le guide ](https://www.flowconsent.com/fr/laws/tdddg)· [nLPD (Suisse) · Opt-out](https://www.flowconsent.com/fr/laws/nlpd-suisse) ### [nLPD suisse et cookies : ce que la loi impose à votre site](https://www.flowconsent.com/fr/laws/nlpd-suisse) [Lire le guide ](https://www.flowconsent.com/fr/laws/nlpd-suisse)· [LGPD (Brésil) · Mixte](https://www.flowconsent.com/fr/laws/lgpd-bresil) ### [LGPD au Brésil : ce que la loi impose pour les cookies](https://www.flowconsent.com/fr/laws/lgpd-bresil) [Lire le guide ](https://www.flowconsent.com/fr/laws/lgpd-bresil)· [LOPDGDD (Espagne) · Opt-in](https://www.flowconsent.com/fr/laws/lopdgdd-espagne) ### [LOPDGDD et LSSI : les règles cookies en Espagne](https://www.flowconsent.com/fr/laws/lopdgdd-espagne) [Lire le guide](https://www.flowconsent.com/fr/laws/lopdgdd-espagne) [Voir toutes les lois](https://www.flowconsent.com/fr/laws) ## Mettez votre site en conformité aujourd'hui. Gratuit jusqu'à 25 000 sessions par mois. Sans carte bancaire, sans engagement. [Créer ma bannière](https://app.flowconsent.com/auth/sign-up?utm_source=flowconsent.com\&utm_medium=referral\&utm_campaign=general) · [Scanner mon site](https://www.flowconsent.com/fr/scan)